É bom levar a sério a proteção de dados do consumidor

A ideia de que as organizações deveriam fazer mais para proteger os dados pessoais que possuem sobre os indivíduos vem ganhando terreno nos últimos anos. O Regulamento Geral de Proteção de Dados da União Europeia (GDPR) provocou uma corrida para operacionalizar a gestão de dados e a segurança. Se você acha que foi um caso único, então a Lei de Privacidade do Consumidor da Califórnia (CCPA) e a Lei Geral de Proteção de Dados Pessoais (Lei 13.709 de 2018) recém sancionada pelo presidente Temer podem ter sido surpresas desagradáveis, embora não devessem.

Uma mudança radical nas atitudes e a vontade do governo de legislar para proteger a privacidade individual estão enviando mensagens claras de que as organizações precisam manter a coleta, a guarda e o tratamento dos dados que possuem em ordem. Violações de dados são cada vez mais comuns. Quando ocorrem, muitas vezes são mal administradas, mas um aumento nas multas punitivas e na frustração do público sugere fortemente que a decisão inteligente é colocar sua estratégia de gerenciamento de dados em prática o quanto antes.

Um novo nível de transparência
Muitas empresas que podem ter enterrado suas cabeças na areia no passado estão agora sob a ameaça de multas pesadas. O custo potencial da não conformidade com o GDPR é alto e o mesmo acontecerá em relação ao CCPA e à LGPD, que entram em vigor em janeiro e março de 2020, respectivamente. Também podem expor empresas a ações judiciais coletivas e ao risco de serem processadas por indivíduos quando as diretrizes são violadas, mesmo quando não há violação real.

O GDPR só entrou em vigor em maio, mas já podemos ver a escala de violações de dados que provavelmente não seriam reportadas antes a lei entrar em vigor. O GDPR estipula que as empresas relatem violações dentro de 72 horas após tomarem conhecimento delas. O Information Commissioner’s Office (ICO) no Reino Unido, um dos órgãos aos quais as organizações devem reportar violações, revelou recentemente que as denúncias de violação foram de cerca de 400 em março e abril para 700 em maio e depois saltaram para 1.750 em junho.

O CCPA tem uma definição mais ampla de dados pessoais do que o GDPR, portanto, embora a conformidade com o GDPR provavelmente represente organizações em boa posição para se preparar para o CCPA, ainda pode haver mais a ser feito. A LGPD também traz um conceito amplo do que deve ser considerado dado pessoal informação relacionada à pessoa natural identificada ou identificável. Ou seja, qualquer dado, que isoladamente ou agregado a outro possa permitir a identificação de uma pessoa natural, ou sujeitá-la a um determinado comportamento (interpretação esta oriunda de uma leitura integrativa do texto). Em tempos de Big Data, que permite a correlação rápida de grandes bases de dados, estruturadas e não estruturadas, praticamente qualquer dado pode, eventualmente, vir a ser considerado pessoal, portanto, sujeito aos ditames da lei.

Portanto, por mais tentador que seja fazer o mínimo agora e esperar para só agir mais perto do fim do período de vacância da lei, tudo o que você estará fazendo é adiar o trabalho.

Esforçar-se por mais transparência e melhores proteções de privacidade de dados agora é a decisão certa, tanto do ponto de vista financeiro, quanto ético.

Reavalie suas práticas de coleta de dados
Antes de examinar as diretrizes e elaborar um plano de ataque, é uma boa ideia dar um passo atrás e avaliar os dados que sua organização coleta. Comece certificando-se de que você sabe exatamente onde estão todos os seus dados e dê uma olhada crítica em suas justificativas para coletá-los em primeiro lugar. A promessa inicial do Big Data encorajou muitas organizações a acumular dados na esperança de descobrir como monetizá-lo ou extrair insights mais tarde, mas essa atitude pode ser desastrosa no clima atual.

Considere otimizar sua coleta de dados para o que realmente produz valor e reduzi-la no ponto de coleta sempre que possível. A redução da quantidade de dados que você coleta também pode reduzir sua exposição em potencial, sem mencionar os custos associados em termos de tráfego de rede, processamento e armazenamento. 

Com uma visão clara dos dados de que você precisa e quando e onde eles serão coletados e armazenado, você pode passar a estratégias sobre como gerencia-los e protegê-los de forma eficaz.

O direito de acesso e escolha
Dois princípios importantes que estão consagrados nas legislações de proteção de dados são o direito de os indivíduos acessarem os dados pessoais que você possui e o poder de não autorizar que você faça uso deles. Eles também podem querer descobrir o que você fez com seus dados, especificamente com quais terceiros foram compartilhados ou vendidos. Solicitações de informações terão que ser atendidas dentro de um prazo razoável, portanto, é preciso haver um sistema que seja eficiente e seguro.

Onde as organizações têm dados agregados e anônimos, algumas das novas legislações podem tornar a vida muito difícil. O que acontecerá quando alguém quiser suspender o suo dos seus dados pessoais e pedir que sejam deletados? Eles podem ser destruídos por toda ecossistema que faz uso dele, dentro do prazo legal? Pode ser sensato elaborar uma estratégia de dados que leve essas questões em consideração.

Procedimentos adequados de armazenamento e violação
Criptografar dados e limitar o acesso é obviamente essencial, mas o desafio de introduzir maior transparência sem comprometer a segurança é algo que exige seriedade. Quando o pior acontece – o que, inevitavelmente, ocorrerá de tempos em tempos – as organizações devem ter procedimentos adequados que alertem as pessoas responsáveis ​​e acionem uma investigação que possa ser usada para relatar a violação e servir como base para a mitigação.

Quando as responsabilidades não são claras ou a ação é discricionária, surgem problemas. A clareza em seus procedimentos é vital se você quiser atender aos requisitos de relatórios, identificar a origem da violação e agir para resolvê-la o mais rápido possível.

Uma abordagem proativa à proteção de dados e ao gerenciamento eficiente hoje pode reduzir drasticamente o gasto potencial e o risco de interrupção que algumas dessas legislações representam.